Web Sitesi Güvenliği ve Yedekleme

Web sitesi güvenliğinin özü iki şeye iniyor: yüzeyi küçültmek ve test edilmiş bir yedek tutmak. Bu ikisi varsa en kötü senaryo yarım gününüzü alır, yoksa siteyi sıfırdan kurmak gerekebilir. Küçük işletme siteleri genelde hedef seçilerek değil, otomatik tarayıcılara yakalanarak ele geçiriliyor.

1. 1

   Sertifikayı ve Yönlendirmeyi Kontrol Edin

   SSL sertifikası, tarayıcı ile sunucu arasındaki trafiği şifreler. Sertifika kurulu olsa bile sitenin http adresi açık kalıyorsa, form dolduran ziyaretçi verisini şifresiz bağlantıdan gönderiyor olabilir. Tarayıcı bunu er ya da geç güvensiz diye işaretler.

   • Her http isteğinin tek adımda https’e yönlendiğini adres çubuğunda doğrulayın.
   • Sertifikanın otomatik yenilendiğini hosting firmanıza teyit ettirin.
   • Sayfada http ile yüklenen görsel veya kod kalmadığından emin olun.
2. 2

   Yazılımı Güncelleyin, Fazlasını Silin

   Saldırıların büyük kısmı yeni bulunmuş açıklardan değil, aylar önce yaması çıkmış açıklardan geçer. Otomatik tarayıcılar siteleri sürüm numarasına göre tarar; eski sürümü bulunca hazır bir saldırıyı dener. Pasife alınmış ya da geliştiricisi terk etmiş bir eklentinin dosyaları da sunucuda durduğu için hâlâ çalıştırılabilir.

   • Altyapı, tema ve eklenti güncellemelerini ayda bir sabit güne bağlayın; önce yedek alın.
   • Kullanmadığınız eklenti ve temaları pasife almakla yetinmeyip tamamen silin.
   • Bir eklentinin son güncellemesi bir yıldan eskiyse yazılımcınızdan bakımı süren bir alternatif isteyin.
3. 3

   İki Adımlı Doğrulamayı Açın

   Yönetim panelinize giren tek bir zayıf şifre, diğer tüm önlemleri geçersiz kılar. İki adımlı doğrulama açıkken şifre çalınsa bile giriş olmaz. Kurulumu beş dakika sürer ve en yüksek getirili güvenlik adımıdır.

   • Panel, hosting, alan adı ve e-posta hesaplarının hepsinde iki adımı açın.
   • Her hesap için farklı, en az 16 karakterli şifreler üretip şifre yöneticisinde saklayın.
   • İşten ayrılan çalışanın ve eski ajansın erişimini aynı gün kapatın.
4. 4

   Yönetim Paneline Erişimi Sınırlayın

   Panel adresi herkese açıkken botlar gün içinde yüzlerce şifre denemesi yapar. Erişimi daraltmak bu denemelerin çoğunu siteye ulaşmadan bitirir. Ayrıca her kullanıcıya yönetici yetkisi vermek, tek bir hatanın bütün siteyi etkilemesi demek.

   • Başarısız girişin belirli bir sayıdan sonra geçici olarak bloke edilmesini isteyin.
   • Panel adresini varsayılan hâlinden değiştirin, mümkünse IP kısıtlaması ekletin.
   • Her kullanıcıya işini yapacak en düşük yetkiyi verin; yönetici sayısını iki ya da üçle sınırlayın.
5. 5

   Yedeği Geri Yükleyerek Test Edin

   Alınmamış yedek kadar tehlikeli tek şey, geri yüklenemeyen yedektir. Çoğu işletme yedeğinin bozuk olduğunu tam ihtiyaç duyduğu gün öğrenir. Test etmenin tek yolu, yedeği bir deneme adresine gerçekten kurmaktır.

   • Dosya ve veritabanı yedeğinin günlük alındığını hosting panelinden doğrulayın.
   • En az üç ayda bir yedeği bir test adresine geri yükleyip siteyi baştan sona gezin.
   • Geri yükleme adımlarını, kimin yapacağını da yazarak tek sayfaya dökün.
6. 6

   Yedeği Başka Yerde Tutun

   Sunucuyla aynı yerde duran yedek, sunucu ele geçtiğinde ya da silindiğinde onunla birlikte gider. Fidye yazılımları da önce erişebildiği yedekleri şifreler. Yedeğin en az bir kopyası, siteyle hiç bağlantısı olmayan bir yerde durmalı.

   • Bir kopyayı farklı bir sağlayıcıda ya da ayrı bir bulut hesabında tutun.
   • Ay sonunda bir kopyayı indirip üzerine yazılmayacak bir arşivde saklayın.
   • Kaç günlük geriye dönük yedek tutulduğunu hosting firmanızdan yazılı isteyin.
7. 7

   Alan Adı Sahipliğini Netleştirin

   Alan adı kimin hesabındaysa site fiilen onun elindedir. Ajansın ya da eski çalışanın adına kayıtlı bir alan adı, yolların ayrıldığı gün en büyük sorununuz olur. Süresi kaçırılan bir alan adı ise siteyi bir günde erişilemez hâle getirir.

   • Alan adının ve hosting hesabının sahip kaydında firmanızın adı ve e-postası olsun.
   • Otomatik yenilemeyi açın, süre bitiş tarihini takviminize iki hatırlatmayla girin.
   • Panel giriş bilgilerini yazılımcıyla paylaşırken ayrı kullanıcı açın, ana hesabı vermeyin.
8. 8

   İlk 24 Saat Planı Yazın

   Saldırı anında en çok zaman kaybettiren şey, ne yapılacağını o an tartışmaktır. Önceden yazılmış kısa bir plan paniği sıraya çevirir. Yarım sayfayı geçmesine gerek yok; herkesin nerede durduğunu bilmesi yeterli.

   • Siteyi geçici kapatma, şifreleri topluca değiştirme ve temiz yedeğe dönme sırasını yazın.
   • Hosting desteği, yazılımcınız ve alan adı sağlayıcınızın iletişim bilgilerini plana ekleyin.
   • Müşteri verisi sızdığında KVKK kapsamında bildirim yükümlülüğü doğar; avukatınızı da listeye koyun.